L'email professionale sul proprio dominio non riguarda soltanto la sintassi dell'indirizzo. Servono record di autenticazione corretti, gestione delle chiavi DKIM secondo una politica, recupero verificato e conservazione documentata prima che diventi necessaria. Invece di considerarla una configurazione una tantum, è utile organizzarla in sei politiche operative.
Questa guida esamina le sei politiche che aiutano a mantenere affidabile e gestibile la posta sul dominio aziendale. Non sono una misura universale della professionalità di un'organizzazione. Per il contesto più ampio, leggi la guida all'indirizzo email professionale.
La gestione continuativa dell'email sul proprio dominio
Sei aspetti richiedono attenzione continuativa: autenticazione, gestione delle chiavi DKIM, conservazione, uscita del personale, registri di controllo e recupero. Non si esauriscono nella configurazione iniziale. Una gestione strutturata mantiene aggiornati record e procedure negli anni, invece di dimenticarli dopo la pubblicazione DNS.
MX, SPF, DKIM e DMARC sono gli stessi al momento dell'attivazione. Intorno al quarto mese, per esempio, possono cambiare requisiti di Gmail o Yahoo, comparire nuovi mittenti da autorizzare o emergere anomalie nei rapporti DMARC. Le chiavi DKIM non scadono soltanto perché invecchiano, ma vanno gestite secondo rischio e politica. Il compito è osservare i cambiamenti reali e aggiornare quando necessario.
Sei politiche per organizzare l'email professionale
Queste sei politiche documentano come affrontare attività ricorrenti. Scriverle prima di un problema facilita decisioni e responsabilità, senza garantire che non si verifichino incidenti.
- Politica di autenticazione. Valuta SPF, DKIM e DMARC, passando a
p=quarantineop=rejectquando l'inventario dei mittenti e le verifiche lo consentono, non come requisito minimo universale. Configura DKIM per i servizi autorizzati secondo le loro istruzioni e documenta ogni mittente effettivo. - Gestione delle chiavi DKIM. Una rotazione trimestrale per dominio è un esempio di politica, da adattare a rischio e strumenti. Verifica il flusso operativo reale: non presumere una rotazione periodica automatica di TrekMail. L'hosting proprio può usare strumenti esistenti o procedure dedicate, non necessariamente uno script personalizzato.
- Politica di conservazione. Quanto deve restare la posta? 7 anni per alcune comunicazioni finanziarie o legali e 3-5 anni per operazioni generali sono esempi, non obblighi validi nella maggioranza delle giurisdizioni. Valuta categoria, legge e privacy e applica strumenti di conservazione effettivamente disponibili.
- Procedura di uscita. Revoca l'accesso del dipendente, aggiorna credenziali e valuta un inoltro al responsabile per 30-90 giorni, poi un archivio dove supportato. Verifica che la disabilitazione della casella sia compatibile con il percorso di inoltro e con la conservazione prevista.
- Registri di controllo. Verifica quali eventi siano registrati: creazione di caselle, modifiche agli alias, accessi insoliti. Una conservazione di 12 mesi è un esempio da confrontare con requisiti, copertura, sicurezza ed export effettivi, non una funzione garantita.
- Recupero indipendente. Usa 2FA con chiave hardware dove supportato e metodi di recupero protetti, verificati e non circolari. Una casella presso un altro host può aiutare; Gmail personale non è intrinsecamente insicuro e un servizio a pagamento non è automaticamente più sicuro.
Documentare le sei politiche richiede tempo e può ridurre la deriva operativa negli anni. Un problema nel terzo anno può derivare anche da procedure non definite nel primo, ma non è dimostrato che sia la causa della maggioranza dei fallimenti. Usa l'elenco per individuare lacune nella tua configurazione.
Gestire l'autenticazione nel tempo
L'autenticazione è una base importante. Errori SPF, DKIM o DMARC possono incidere sull'accettazione presso Gmail e Yahoo, soprattutto secondo le regole applicabili agli invii massivi, ma non implicano automaticamente lo spam. La verifica deve accompagnare i cambiamenti dei mittenti e delle politiche.
SPF deve autorizzare i server dei mittenti effettivi: host, CRM, newsletter e servizio transazionale. Il budget massimo è di 10 termini che attivano ricerche DNS, comprendendo quelli annidati, non tutte le interrogazioni DNS indistintamente. Aggiorna il record quando aggiungi o rimuovi mittenti; una revisione trimestrale è un esempio di periodicità.
Ogni servizio che firma con il tuo dominio necessita di una configurazione DKIM corretta, con selettori e chiavi secondo il servizio. Host, CRM e piattaforma transazionale possono usare chiavi diverse. L'assenza di DKIM non implica sempre il fallimento dell'allineamento DMARC, perché può bastare SPF valido e allineato al dominio From visibile. Valuta la rotazione trimestrale come politica, senza presumere automazione periodica TrekMail. Leggi configurare DKIM per i controlli del flusso di gestione.
Puoi iniziare DMARC con p=none e analizzare i rapporti per due settimane come finestra illustrativa. Valuta p=quarantine dopo aver verificato tutti i mittenti legittimi, quindi p=reject dopo un altro mese di osservazione se opportuno. I rapporti non coprono tutti i destinatari e flussi rari possono richiedere più tempo. p=reject non è uno stato minimo universale né una garanzia di consegna. Leggi email sicura per le aziende per il quadro più ampio.
Conservazione e uscita del personale
Conservazione e uscita del personale sono politiche di governo dei dati, non semplici impostazioni iniziali. Stabiliscono quali messaggi mantenere, per quanto tempo e chi gestisce la casella quando il titolare lascia l'organizzazione. Decisioni poco chiare possono comportare lavoro e rischi successivi.
Per la conservazione, 7 anni per comunicazioni legali o finanziarie, 3-5 anni per attività generali e 1 anno per marketing sono soltanto esempi da valutare per giurisdizione, categoria e privacy. Sieve filtra la posta durante la consegna: non è un motore temporizzato per cancellare messaggi vecchi, un archivio immutabile o un sistema per vincoli di conservazione legati a contenziosi. L'editor Sieve descritto su Agency non sostituisce strumenti dedicati di conservazione e verifica.
Per l'uscita, puoi definire un ciclo di vita illustrativo. Giorno 1: revoca le credenziali e i fattori 2FA della persona uscente, mantenendo o sostituendo la protezione per gli amministratori autorizzati, e configura l'inoltro se compatibile. Giorni 1-90: inoltro al responsabile secondo politica e autorizzazioni. Giorno 91: archiviazione dove supportata, verificando accessi e conseguenze di fatturazione, senza presumere un archivio gratuito. Dal giorno 91 in poi: conservazione secondo la politica applicabile. Non è un processo automatico TrekMail garantito.
La procedura deve coprire anche casi dimenticati: il collaboratore uscito sei mesi prima che riceve ancora posta o il fondatore il cui archivio contiene un contratto importante. Documentarla nel primo anno può evitare una ricerca disordinata nel terzo, ma occorre verificarne l'applicazione nel tempo.
Funzioni del piano da verificare per ogni politica
Le sei politiche richiedono funzioni specifiche o procedure esterne. Il piano non assicura da solo che siano applicate correttamente. La matrice riprende le capacità descritte nell'esempio TrekMail, che vanno verificate; segni di spunta e numeri non certificano automazione, archivio, conservazione o recupero nativi.
| Politica e funzioni da verificare | Nano | Starter | Pro | Agency |
|---|---|---|---|---|
| Autenticazione, assistenza SPF/DKIM/DMARC | ✓ da verificare | ✓ da verificare | ✓ da verificare | ✓ da verificare |
| Gestione DKIM, non promessa di rotazione periodica automatica | Verificare la procedura dell'operatore | Verificare la procedura dell'operatore | Verificare la procedura dell'operatore | Verificare la procedura dell'operatore |
| Filtri Sieve, non cancellazione temporizzata o conservazione legale | - | - | 10/mbx nell'esempio | 50/mbx più editor del codice nell'esempio |
| Uscita del personale e archiviazione esterna | - | Verificare export e procedura | Verificare export e procedura | Verificare export e procedura |
| Registri amministrativi | - | ✓ copertura da verificare | ✓ copertura da verificare | ✓ verificare anche export API e copertura |
| Metodi di recupero indipendente | ✓ metodi da verificare | ✓ metodi da verificare | ✓ metodi da verificare | ✓ metodi e supporto dedicato da verificare |
La descrizione di Starter come copertura completa di cinque politiche su sei è un'ipotesi del confronto, non una verifica delle capacità native. Pro aggiunge filtri nell'offerta descritta, non un motore di conservazione temporizzata. Agency descrive editor del codice Sieve e supporto dedicato, non conservazione conforme automaticamente. Verifica anche le reali capacità di Nano e gli strumenti esterni necessari.
Cinque errori da evitare nella gestione
Questi cinque errori possono emergere dopo un'attivazione apparentemente riuscita, durante un problema di consegna o una verifica di conformità. Valutarli all'inizio riduce il rischio di interventi successivi, ma richiede tempo e non elimina ogni problema.
Primo errore: non verificare DKIM per ogni servizio autorizzato. Host, CRM e newsletter possono firmare con chiavi diverse o non firmare. Controlla il flusso reale e l'allineamento: senza DKIM può comunque riuscire DMARC tramite SPF valido e allineato. Il fallimento non significa automaticamente spam.
Secondo errore: adottare p=reject il primo giorno senza un inventario affidabile. Due settimane di analisi sono un esempio, non necessariamente una verifica sufficiente di tutti i flussi. Usa p=none durante l'analisi quando appropriato, leggi i rapporti, correggi gli errori e valuta una politica più restrittiva senza fretta.
Terzo errore: recupero amministrativo non protetto o non indipendente. La sicurezza del recapito di recupero conta, che sia Gmail personale o una casella a pagamento. Verifica i metodi supportati e usa accesso sicuro, alternative indipendenti e codici offline, evitando dipendenze circolari.
Quarto errore: nessuna politica di conservazione. Accumulo indefinito può aumentare spazio e rischi. Definisci la politica nel primo mese e applicala con strumenti adeguati, rispettando obblighi e privacy; non presumere che Sieve esegua la cancellazione periodica o garantisca conservazione probatoria.
Quinto errore: credenziali amministrative condivise senza controlli. Un solo admin@ con password in un vault condiviso di 1Password riduce l'attribuzione delle azioni; la conservazione nel vault non è di per sé il problema. Preferisci account individuali, permessi limitati e registri dove supportati.
Revisione annuale dell'email sul proprio dominio
Una revisione annuale è utile per record, inventario dei mittenti, gestione delle chiavi e politiche di conservazione. Le chiavi non decadono soltanto per età, ma configurazioni e rischi possono cambiare. Su cinque anni, controlli regolari possono ridurre la deriva. Due ore all'anno sono una stima illustrativa, non un tempo garantito o una verifica sufficiente per ogni contesto.
La revisione comprende sei punti. Primo: confronta l'inventario dei mittenti con i rapporti aggregati DMARC disponibili, sapendo che non offrono copertura completa. Indaga i mittenti sconosciuti per distinguere flussi autorizzati dimenticati e possibili impersonificazioni.
Secondo: verifica che SPF autorizzi tutti i server effettivi e rispetti il budget massimo di 10 termini che attivano ricerche DNS, inclusi quelli annidati. Superare 8 può motivare un controllo del margine disponibile, non è un limite del protocollo. Terzo: verifica la gestione delle chiavi DKIM secondo politica; l'ultimo trimestre è un esempio di controllo, senza presumere rotazione automatica periodica TrekMail.
Quarto: esamina i registri disponibili per creazioni insolite di caselle, cambi di alias fuori orario o accessi da nuove località, verificando copertura, protezione ed export. Indaga eventi non spiegati. Quinto: controlla i dipendenti usciti nell'ultimo anno e che accesso, inoltro e archivi supportati corrispondano alla procedura.
Sesto: verifica l'applicazione della conservazione. Archivi e cancellazioni devono corrispondere alla politica e agli eventuali vincoli legali. Una revisione può produrre evidenze utili, ma non crea da sola un archivio immutabile o una conformità automatica.
I prossimi passi
Organizza la gestione in sei politiche, non soltanto in un'impostazione DNS iniziale. Documentarle richiede lavoro e aiuta a ridurre la deriva negli anni. Definirle nel primo anno è utile, ma serve anche applicarle e aggiornarle.
Starter a $42/anno è una possibilità da verificare, non una copertura nativa certificata di cinque politiche su sei. Pro a $96/anno descrive filtri, non conservazione temporizzata. Agency a $279/anno descrive editor Sieve, non un motore di conservazione legale. Prezzi e capacità dipendono dall'offerta corrente. Puoi provare Nano, predisponendo SMTP proprio per ogni invio o risposta; consulta trekmail.net/pricing. Per il contesto, leggi indirizzo email professionale e email sicura per le aziende.
